Potential Defense Evasion Activity Via Emoji Usage In CommandLine - 1
Detects the usage of emojis in the command line, this could be a sign of potential defense evasion activity.
Sigma rule (View on GitHub)
1title: Potential Defense Evasion Activity Via Emoji Usage In CommandLine - 1
2id: 4a30ac0c-b9d6-4e01-b71a-5f851bbf4259
3status: test
4description: Detects the usage of emojis in the command line, this could be a sign of potential defense evasion activity.
5author: '@Kostastsale, @TheDFIRReport'
6references:
7 - Internal Research
8tags:
9 - attack.defense-evasion
10date: 2022-12-05
11logsource:
12 product: windows
13 category: process_creation
14detection:
15 selection:
16 CommandLine|contains:
17 - '๐'
18 - '๐'
19 - '๐'
20 - '๐'
21 - '๐'
22 - '๐
'
23 - '๐'
24 - '๐คฃ'
25 - '๐ฅฒ'
26 - '๐ฅน'
27 - 'โบ๏ธ'
28 - '๐'
29 - '๐'
30 - '๐'
31 - '๐'
32 - '๐'
33 - '๐'
34 - '๐'
35 - '๐ฅฐ'
36 - '๐'
37 - '๐'
38 - '๐'
39 - '๐'
40 - '๐'
41 - '๐'
42 - '๐'
43 - '๐'
44 - '๐คช'
45 - '๐คจ'
46 - '๐ง'
47 - '๐ค'
48 - '๐'
49 - '๐ฅธ'
50 - '๐คฉ'
51 - '๐ฅณ'
52 - '๐'
53 - '๐'
54 - '๐'
55 - '๐'
56 - '๐'
57 - '๐'
58 - '๐'
59 - 'โน๏ธ'
60 - '๐ฃ'
61 - '๐'
62 - '๐ซ'
63 - '๐ฉ'
64 - '๐ฅบ'
65 - '๐ข'
66 - '๐ญ'
67 - '๐ฎโ๐จ'
68 - '๐ค'
69 - '๐ '
70 - '๐ก'
71 - '๐คฌ'
72 - '๐คฏ'
73 - '๐ณ'
74 - '๐ฅต'
75 - '๐ฅถ'
76 - '๐ฑ'
77 - '๐จ'
78 - '๐ฐ'
79 - '๐ฅ'
80 - '๐'
81 - '๐ซฃ'
82 - '๐ค'
83 - '๐ซก'
84 - '๐ค'
85 - '๐ซข'
86 - '๐คญ'
87 - '๐คซ'
88 - '๐คฅ'
89 - '๐ถ'
90 - '๐ถโ๐ซ๏ธ'
91 - '๐'
92 - '๐'
93 - '๐ฌ'
94 - '๐ซ '
95 - '๐'
96 - '๐ฏ'
97 - '๐ฆ'
98 - '๐ง'
99 - '๐ฎ'
100 - '๐ฒ'
101 - '๐ฅฑ'
102 - '๐ด'
103 - '๐คค'
104 - '๐ช'
105 - '๐ต'
106 - '๐ตโ๐ซ'
107 - '๐ซฅ'
108 - '๐ค'
109 - '๐ฅด'
110 - '๐คข'
111 - '๐คฎ'
112 - '๐คง'
113 - '๐ท'
114 - '๐ค'
115 - '๐ค'
116 - '๐ค'
117 - '๐ค '
118 - '๐'
119 - '๐ฟ'
120 - '๐น'
121 - '๐บ'
122 - '๐คก'
123 - '๐ฉ'
124 - '๐ป'
125 - '๐'
126 - 'โ ๏ธ'
127 - '๐ฝ'
128 - '๐พ'
129 - '๐ค'
130 - '๐'
131 - '๐บ'
132 - '๐ธ'
133 - '๐น'
134 - '๐ป'
135 - '๐ผ'
136 - '๐ฝ'
137 - '๐'
138 - '๐ฟ'
139 - '๐พ'
140 - '๐'
141 - '๐ค'
142 - '๐'
143 - 'โ'
144 - '๐'
145 - '๐'
146 - '๐ค'
147 - '๐ค'
148 - 'โ๏ธ'
149 - '๐ค'
150 - '๐ซฐ'
151 - '๐ค'
152 - '๐ค'
153 - '๐ค'
154 - '๐ซต'
155 - '๐ซฑ'
156 - '๐ซฒ'
157 - '๐ซณ'
158 - '๐ซด'
159 - '๐'
160 - '๐'
161 - '๐'
162 - '๐'
163 - '๐'
164 - 'โ๏ธ'
165 - '๐'
166 - '๐'
167 - 'โ'
168 - '๐'
169 - '๐ค'
170 - '๐ค'
171 - '๐'
172 - '๐ซถ'
173 - '๐'
174 - '๐'
175 - '๐คฒ'
176 - '๐ค'
177 - '๐'
178 - 'โ๏ธ'
179 - '๐ช'
180 - '๐ฆพ'
181 - '๐ฆต'
182 - '๐ฆฟ'
183 - '๐ฆถ'
184 - '๐ฃ'
185 - '๐'
186 - '๐ฆป'
187 - '๐'
188 - '๐ซ'
189 - '๐ซ'
190 - '๐ง '
191 - '๐ฆท'
192 - '๐ฆด'
193 - '๐'
194 - '๐'
195 - '๐
'
196 - '๐'
197 - '๐ซฆ'
198 - '๐'
199 - '๐ฉธ'
200 - '๐ถ'
201 - '๐ง'
202 - '๐ง'
203 - '๐ฆ'
204 - '๐ฉ'
205 - '๐ง'
206 - '๐จ'
207 - '๐ฉโ๐ฆฑ'
208 - '๐งโ๐ฆฑ'
209 - '๐จโ๐ฆฑ'
210 - '๐ฉโ๐ฆฐ'
211 - '๐งโ๐ฆฐ'
212 - '๐จโ๐ฆฐ'
213 - '๐ฑโโ๏ธ'
214 - '๐ฑ'
215 - '๐ฑโโ๏ธ'
216 - '๐ฉโ๐ฆณ'
217 - '๐งโ๐ฆณ'
218 - '๐จโ๐ฆณ'
219 - '๐ฉโ๐ฆฒ'
220 - '๐งโ๐ฆฒ'
221 - '๐จโ๐ฆฒ'
222 - '๐งโโ๏ธ'
223 - '๐ง'
224 - '๐งโโ๏ธ'
225 - '๐ต'
226 - '๐ง'
227 - '๐ด'
228 - '๐ฒ'
229 - '๐ณโโ๏ธ'
230 - '๐ณ'
231 - '๐ณโโ๏ธ'
232 - '๐ง'
233 - '๐ฎโโ๏ธ'
234 - '๐ฎ'
235 - '๐ฎโโ๏ธ'
236 - '๐ทโโ๏ธ'
237 - '๐ท'
238 - '๐ทโโ๏ธ'
239 - '๐โโ๏ธ'
240 - '๐'
241 - '๐โโ๏ธ'
242 - '๐ต๏ธโโ๏ธ'
243 - '๐ต๏ธ'
244 - '๐ต๏ธโโ๏ธ'
245 - '๐ฉโโ๏ธ'
246 - '๐งโโ๏ธ'
247 - '๐จโโ๏ธ'
248 - '๐ฉโ๐พ'
249 - '๐งโ๐พ'
250 - '๐จโ๐พ'
251 - '๐ฉโ๐ณ'
252 - '๐งโ๐ณ'
253 - '๐จโ๐ณ'
254 - '๐ฉโ๐'
255 - '๐งโ๐'
256 - '๐จโ๐'
257 - '๐ฉโ๐ค'
258 - '๐งโ๐ค'
259 - '๐จโ๐ค'
260 - '๐ฉโ๐ซ'
261 - '๐งโ๐ซ'
262 - '๐จโ๐ซ'
263 - '๐ฉโ๐ญ'
264 - '๐งโ๐ญ'
265 - '๐จโ๐ญ'
266 - '๐ฉโ๐ป'
267 - '๐งโ๐ป'
268 - '๐จโ๐ป'
269 - '๐ฉโ๐ผ'
270 - '๐งโ๐ผ'
271 - '๐จโ๐ผ'
272 - '๐ฉโ๐ง'
273 - '๐งโ๐ง'
274 - '๐จโ๐ง'
275 - '๐ฉโ๐ฌ'
276 - '๐งโ๐ฌ'
277 - '๐จโ๐ฌ'
278 - '๐ฉโ๐จ'
279 - '๐งโ๐จ'
280 - '๐จโ๐จ'
281 - '๐ฉโ๐'
282 - '๐งโ๐'
283 - '๐จโ๐'
284 - '๐ฉโโ๏ธ'
285 - '๐งโโ๏ธ'
286 - '๐จโโ๏ธ'
287 - '๐ฉโ๐'
288 - '๐งโ๐'
289 - '๐จโ๐'
290 - '๐ฉโโ๏ธ'
291 - '๐งโโ๏ธ'
292 - '๐จโโ๏ธ'
293 - '๐ฐโโ๏ธ'
294 - '๐ฐ'
295 - '๐ฐโโ๏ธ'
296 - '๐คตโโ๏ธ'
297 - '๐คต'
298 - '๐คตโโ๏ธ'
299 - '๐ธ'
300 - '๐ซ
'
301 - '๐คด'
302 - '๐ฅท'
303 - '๐ฆธโโ๏ธ'
304 - '๐ฆธ'
305 - '๐ฆธโโ๏ธ'
306 - '๐ฆนโโ๏ธ'
307 - '๐ฆน'
308 - '๐ฆนโโ๏ธ'
309 - '๐คถ'
310 - '๐งโ๐'
311 - '๐
'
312 - '๐งโโ๏ธ'
313 - '๐ง'
314 - '๐งโโ๏ธ'
315 - '๐งโโ๏ธ'
316 - '๐ง'
317 - '๐งโโ๏ธ'
318 - '๐งโโ๏ธ'
319 - '๐ง'
320 - '๐งโโ๏ธ'
321 - '๐งโโ๏ธ'
322 - '๐ง'
323 - '๐งโโ๏ธ'
324 - '๐งโโ๏ธ'
325 - '๐ง'
326 - '๐งโโ๏ธ'
327 - '๐งโโ๏ธ'
328 - '๐ง'
329 - '๐งโโ๏ธ'
330 - '๐งโโ๏ธ'
331 - '๐ง'
332 - '๐งโโ๏ธ'
333 - '๐ง'
334 - '๐ผ'
335 - '๐คฐ'
336 - '๐ซ'
337 - '๐ซ'
338 - '๐คฑ'
339 - '๐ฉโ๐ผ'
340 - '๐งโ๐ผ'
341 - '๐จโ๐ผ'
342 - '๐โโ๏ธ'
343 - '๐'
344 - '๐โโ๏ธ'
345 - '๐โโ๏ธ'
346 - '๐'
347 - '๐โโ๏ธ'
348 - '๐
โโ๏ธ'
349 - '๐
'
350 - '๐
โโ๏ธ'
351 - '๐โโ๏ธ'
352 - '๐'
353 - '๐โโ๏ธ'
354 - '๐โโ๏ธ'
355 - '๐'
356 - '๐โโ๏ธ'
357 - '๐งโโ๏ธ'
358 - '๐ง'
359 - '๐งโโ๏ธ'
360 - '๐คฆโโ๏ธ'
361 - '๐คฆ'
362 - '๐คฆโโ๏ธ'
363 - '๐คทโโ๏ธ'
364 - '๐คท'
365 - '๐คทโโ๏ธ'
366 - '๐โโ๏ธ'
367 - '๐'
368 - '๐โโ๏ธ'
369 - '๐โโ๏ธ'
370 - '๐'
371 - '๐โโ๏ธ'
372 - '๐โโ๏ธ'
373 - '๐'
374 - '๐โโ๏ธ'
375 - '๐โโ๏ธ'
376 - '๐'
377 - '๐โโ๏ธ'
378 - '๐งโโ๏ธ'
379 - '๐ง'
380 - '๐งโโ๏ธ'
381 - '๐
'
382 - '๐'
383 - '๐บ'
384 - '๐ฏโโ๏ธ'
385 - '๐ฏ'
386 - '๐ฏโโ๏ธ'
387 - '๐ด'
388 - '๐ฉโ๐ฆฝ'
389 - '๐งโ๐ฆฝ'
390 - '๐จโ๐ฆฝ'
391 - '๐ฉโ๐ฆผ'
392 - '๐งโ๐ฆผ'
393 - '๐จโ๐ฆผ'
394 - '๐ถโโ๏ธ'
395 - '๐ถ'
396 - '๐ถโโ๏ธ'
397 - '๐ฉโ๐ฆฏ'
398 - '๐งโ๐ฆฏ'
399 - '๐จโ๐ฆฏ'
400 - '๐งโโ๏ธ'
401 - '๐ง'
402 - '๐งโโ๏ธ'
403 - '๐โโ๏ธ'
404 - '๐'
405 - '๐โโ๏ธ'
406 - '๐งโโ๏ธ'
407 - '๐ง'
408 - '๐งโโ๏ธ'
409 - '๐ญ'
410 - '๐งโ๐คโ๐ง'
411 - '๐ฌ'
412 - '๐ซ'
413 - '๐ฉโโค๏ธโ๐ฉ'
414 - '๐'
415 - '๐จโโค๏ธโ๐จ'
416 - '๐ฉโโค๏ธโ๐จ'
417 - '๐ฉโโค๏ธโ๐โ๐ฉ'
418 - '๐'
419 - '๐จโโค๏ธโ๐โ๐จ'
420 - '๐ฉโโค๏ธโ๐โ๐จ'
421 - '๐ช'
422 - '๐จโ๐ฉโ๐ฆ'
423 - '๐จโ๐ฉโ๐ง'
424 - '๐จโ๐ฉโ๐งโ๐ฆ'
425 - '๐จโ๐ฉโ๐ฆโ๐ฆ'
426 - '๐จโ๐ฉโ๐งโ๐ง'
427 - '๐จโ๐จโ๐ฆ'
428 - '๐จโ๐จโ๐ง'
429 - '๐จโ๐จโ๐งโ๐ฆ'
430 - '๐จโ๐จโ๐ฆโ๐ฆ'
431 - '๐จโ๐จโ๐งโ๐ง'
432 - '๐ฉโ๐ฉโ๐ฆ'
433 - '๐ฉโ๐ฉโ๐ง'
434 - '๐ฉโ๐ฉโ๐งโ๐ฆ'
435 - '๐ฉโ๐ฉโ๐ฆโ๐ฆ'
436 - '๐ฉโ๐ฉโ๐งโ๐ง'
437 - '๐จโ๐ฆ'
438 - '๐จโ๐ฆโ๐ฆ'
439 - '๐จโ๐ง'
440 - '๐จโ๐งโ๐ฆ'
441 - '๐จโ๐งโ๐ง'
442 - '๐ฉโ๐ฆ'
443 - '๐ฉโ๐ฆโ๐ฆ'
444 - '๐ฉโ๐ง'
445 - '๐ฉโ๐งโ๐ฆ'
446 - '๐ฉโ๐งโ๐ง'
447 - '๐ฃ'
448 - '๐ค'
449 - '๐ฅ'
450 - '๐ซ'
451 - '๐งณ'
452 - '๐'
453 - 'โ๏ธ'
454 - '๐งต'
455 - '๐ชก'
456 - '๐ชข'
457 - '๐งถ'
458 - '๐'
459 - '๐ถ'
460 - '๐ฅฝ'
461 - '๐ฅผ'
462 - '๐ฆบ'
463 - '๐'
464 - '๐'
465 - '๐'
466 - '๐งฃ'
467 - '๐งค'
468 - '๐งฅ'
469 - '๐งฆ'
470 - '๐'
471 - '๐'
472 - '๐ฅป'
473 - '๐ฉด'
474 - '๐ฉฑ'
475 - '๐ฉฒ'
476 - '๐ฉณ'
477 - '๐'
478 - '๐'
479 - '๐'
480 - '๐'
481 - '๐'
482 - '๐'
483 - '๐'
484 - '๐'
485 - '๐ฅพ'
486 - '๐ฅฟ'
487 - '๐ '
488 - '๐ก'
489 - '๐ฉฐ'
490 - '๐ข'
491 - '๐'
492 - '๐'
493 - '๐ฉ'
494 - '๐'
495 - '๐งข'
496 - 'โ'
497 - '๐ช'
498 - '๐'
499 - '๐'
500 - '๐ผ'
501 - '๐๐ป'
502 - '๐ค๐ป'
503 - '๐๐ป'
504 - 'โ๐ป'
505 - '๐๐ป'
506 - '๐๐ป'
507 - '๐ค๐ป'
508 - '๐ค๐ป'
509 - 'โ๐ป'
510 - '๐ค๐ป'
511 - '๐ซฐ๐ป'
512 - '๐ค๐ป'
513 - '๐ค๐ป'
514 - '๐ค๐ป'
515 - '๐ซต๐ป'
516 - '๐ซฑ๐ป'
517 - '๐ซฒ๐ป'
518 - '๐ซณ๐ป'
519 - '๐ซด๐ป'
520 - '๐๐ป'
521 - '๐๐ป'
522 - '๐๐ป'
523 - '๐๐ป'
524 - '๐๐ป'
525 - 'โ๐ป'
526 - '๐๐ป'
527 - '๐๐ป'
528 - 'โ๐ป'
529 - '๐๐ป'
530 - '๐ค๐ป'
531 - '๐ค๐ป'
532 - '๐๐ป'
533 - '๐ซถ๐ป'
534 - '๐๐ป'
535 - '๐๐ป'
536 - '๐คฒ๐ป'
537 - '๐๐ป'
538 - 'โ๐ป'
539 - '๐ช๐ป'
540 - '๐ฆต๐ป'
541 - '๐ฆถ๐ป'
542 - '๐๐ป'
543 - '๐ฆป๐ป'
544 - '๐๐ป'
545 - '๐ถ๐ป'
546 - '๐ง๐ป'
547 - '๐ง๐ป'
548 - '๐ฆ๐ป'
549 - '๐ฉ๐ป'
550 - '๐ง๐ป'
551 - '๐จ๐ป'
552 - '๐ฉ๐ปโ๐ฆฑ'
553 - '๐ง๐ปโ๐ฆฑ'
554 - '๐จ๐ปโ๐ฆฑ'
555 - '๐ฉ๐ปโ๐ฆฐ'
556 - '๐ง๐ปโ๐ฆฐ'
557 - '๐จ๐ปโ๐ฆฐ'
558 - '๐ฑ๐ปโโ๏ธ'
559 - '๐ฑ๐ป'
560 - '๐ฑ๐ปโโ๏ธ'
561 - '๐ฉ๐ปโ๐ฆณ'
562 - '๐ง๐ปโ๐ฆณ'
563 - '๐จ๐ปโ๐ฆณ'
564 - '๐ฉ๐ปโ๐ฆฒ'
565 - '๐ง๐ปโ๐ฆฒ'
566 - '๐จ๐ปโ๐ฆฒ'
567 - '๐ง๐ปโโ๏ธ'
568 - '๐ง๐ป'
569 - '๐ง๐ปโโ๏ธ'
570 - '๐ต๐ป'
571 - '๐ง๐ป'
572 - '๐ด๐ป'
573 - '๐ฒ๐ป'
574 - '๐ณ๐ปโโ๏ธ'
575 - '๐ณ๐ป'
576 - '๐ณ๐ปโโ๏ธ'
577 - '๐ง๐ป'
578 - '๐ฎ๐ปโโ๏ธ'
579 - '๐ฎ๐ป'
580 - '๐ฎ๐ปโโ๏ธ'
581 - '๐ท๐ปโโ๏ธ'
582 - '๐ท๐ป'
583 - '๐ท๐ปโโ๏ธ'
584 - '๐๐ปโโ๏ธ'
585 - '๐๐ป'
586 - '๐๐ปโโ๏ธ'
587 - '๐ต๐ปโโ๏ธ'
588 - '๐ต๐ป'
589 - '๐ต๐ปโโ๏ธ'
590 - '๐ฉ๐ปโโ๏ธ'
591 - '๐ง๐ปโโ๏ธ'
592 - '๐จ๐ปโโ๏ธ'
593 - '๐ฉ๐ปโ๐พ'
594 - '๐ง๐ปโ๐พ'
595 - '๐จ๐ปโ๐พ'
596 - '๐ฉ๐ปโ๐ณ'
597 - '๐ง๐ปโ๐ณ'
598 - '๐จ๐ปโ๐ณ'
599 - '๐ฉ๐ปโ๐'
600 - '๐ง๐ปโ๐'
601 - '๐จ๐ปโ๐'
602 - '๐ฉ๐ปโ๐ค'
603 - '๐ง๐ปโ๐ค'
604 - '๐จ๐ปโ๐ค'
605 - '๐ฉ๐ปโ๐ซ'
606 - '๐ง๐ปโ๐ซ'
607 - '๐จ๐ปโ๐ซ'
608 - '๐ฉ๐ปโ๐ญ'
609 - '๐ง๐ปโ๐ญ'
610 - '๐จ๐ปโ๐ญ'
611 - '๐ฉ๐ปโ๐ป'
612 - '๐ง๐ปโ๐ป'
613 - '๐จ๐ปโ๐ป'
614 - '๐ฉ๐ปโ๐ผ'
615 - '๐ง๐ปโ๐ผ'
616 - '๐จ๐ปโ๐ผ'
617 - '๐ฉ๐ปโ๐ง'
618 - '๐ง๐ปโ๐ง'
619 - '๐จ๐ปโ๐ง'
620 - '๐ฉ๐ปโ๐ฌ'
621 - '๐ง๐ปโ๐ฌ'
622 - '๐จ๐ปโ๐ฌ'
623 - '๐ฉ๐ปโ๐จ'
624 - '๐ง๐ปโ๐จ'
625 - '๐จ๐ปโ๐จ'
626 - '๐ฉ๐ปโ๐'
627 - '๐ง๐ปโ๐'
628 - '๐จ๐ปโ๐'
629 - '๐ฉ๐ปโโ๏ธ'
630 - '๐ง๐ปโโ๏ธ'
631 - '๐จ๐ปโโ๏ธ'
632 - '๐ฉ๐ปโ๐'
633 - '๐ง๐ปโ๐'
634 - '๐จ๐ปโ๐'
635 - '๐ฉ๐ปโโ๏ธ'
636 - '๐ง๐ปโโ๏ธ'
637 - '๐จ๐ปโโ๏ธ'
638 - '๐ฐ๐ปโโ๏ธ'
639 - '๐ฐ๐ป'
640 - '๐ฐ๐ปโโ๏ธ'
641 - '๐คต๐ปโโ๏ธ'
642 - '๐คต๐ป'
643 - '๐คต๐ปโโ๏ธ'
644 - '๐ธ๐ป'
645 - '๐ซ
๐ป'
646 - '๐คด๐ป'
647 - '๐ฅท๐ป'
648 - '๐ฆธ๐ปโโ๏ธ'
649 - '๐ฆธ๐ป'
650 - '๐ฆธ๐ปโโ๏ธ'
651 - '๐ฆน๐ปโโ๏ธ'
652 - '๐ฆน๐ป'
653 - '๐ฆน๐ปโโ๏ธ'
654 - '๐คถ๐ป'
655 - '๐ง๐ปโ๐'
656 - '๐
๐ป'
657 - '๐ง๐ปโโ๏ธ'
658 - '๐ง๐ป'
659 - '๐ง๐ปโโ๏ธ'
660 - '๐ง๐ปโโ๏ธ'
661 - '๐ง๐ป'
662 - '๐ง๐ปโโ๏ธ'
663 - '๐ง๐ปโโ๏ธ'
664 - '๐ง๐ป'
665 - '๐ง๐ปโโ๏ธ'
666 - '๐ง๐ปโโ๏ธ'
667 - '๐ง๐ป'
668 - '๐ง๐ปโโ๏ธ'
669 - '๐ง๐ปโโ๏ธ'
670 - '๐ง๐ป'
671 - '๐ง๐ปโโ๏ธ'
672 - '๐ผ๐ป'
673 - '๐คฐ๐ป'
674 - '๐ซ๐ป'
675 - '๐ซ๐ป'
676 - '๐คฑ๐ป'
677 - '๐ฉ๐ปโ๐ผ'
678 - '๐ง๐ปโ๐ผ'
679 - '๐จ๐ปโ๐ผ'
680 - '๐๐ปโโ๏ธ'
681 - '๐๐ป'
682 - '๐๐ปโโ๏ธ'
683 - '๐๐ปโโ๏ธ'
684 - '๐๐ป'
685 - '๐๐ปโโ๏ธ'
686 - '๐
๐ปโโ๏ธ'
687 - '๐
๐ป'
688 - '๐
๐ปโโ๏ธ'
689 - '๐๐ปโโ๏ธ'
690 - '๐๐ป'
691 - '๐๐ปโโ๏ธ'
692 - '๐๐ปโโ๏ธ'
693 - '๐๐ป'
694 - '๐๐ปโโ๏ธ'
695 - '๐ง๐ปโโ๏ธ'
696 - '๐ง๐ป'
697 - '๐ง๐ปโโ๏ธ'
698 - '๐คฆ๐ปโโ๏ธ'
699 - '๐คฆ๐ป'
700 - '๐คฆ๐ปโโ๏ธ'
701 - '๐คท๐ปโโ๏ธ'
702 - '๐คท๐ป'
703 - '๐คท๐ปโโ๏ธ'
704 - '๐๐ปโโ๏ธ'
705 - '๐๐ป'
706 - '๐๐ปโโ๏ธ'
707 - '๐๐ปโโ๏ธ'
708 - '๐๐ป'
709 - '๐๐ปโโ๏ธ'
710 - '๐๐ปโโ๏ธ'
711 - '๐๐ป'
712 - '๐๐ปโโ๏ธ'
713 - '๐๐ปโโ๏ธ'
714 - '๐๐ป'
715 - '๐๐ปโโ๏ธ'
716 - '๐ง๐ปโโ๏ธ'
717 - '๐ง๐ป'
718 - '๐ง๐ปโโ๏ธ'
719 - '๐๐ป'
720 - '๐บ๐ป'
721 - '๐ด๐ป'
722 - '๐ฉ๐ปโ๐ฆฝ'
723 - '๐ง๐ปโ๐ฆฝ'
724 - '๐จ๐ปโ๐ฆฝ'
725 - '๐ฉ๐ปโ๐ฆผ'
726 - '๐ง๐ปโ๐ฆผ'
727 - '๐จ๐ปโ๐ฆผ'
728 - '๐ถ๐ปโโ๏ธ'
729 - '๐ถ๐ป'
730 - '๐ถ๐ปโโ๏ธ'
731 - '๐ฉ๐ปโ๐ฆฏ'
732 - '๐ง๐ปโ๐ฆฏ'
733 - '๐จ๐ปโ๐ฆฏ'
734 - '๐ง๐ปโโ๏ธ'
735 - '๐ง๐ป'
736 - '๐ง๐ปโโ๏ธ'
737 - '๐๐ปโโ๏ธ'
738 - '๐๐ป'
739 - '๐๐ปโโ๏ธ'
740 - '๐ง๐ปโโ๏ธ'
741 - '๐ง๐ป'
742 - '๐ง๐ปโโ๏ธ'
743 - '๐ญ๐ป'
744 - '๐ง๐ปโ๐คโ๐ง๐ป'
745 - '๐ฌ๐ป'
746 - '๐ซ๐ป'
747 - '๐ง๐ปโโ๏ธ'
748 - '๐ง๐ป'
749 - '๐ง๐ปโโ๏ธ'
750 - '๐๐ป'
751 - '๐๐ป'
752 - '๐๐ปโโ๏ธ'
753 - '๐๐ป'
754 - '๐๐ปโโ๏ธ'
755 - '๐๐ปโโ๏ธ'
756 - '๐๐ป'
757 - '๐๐ปโโ๏ธ'
758 - '๐ฃ๐ปโโ๏ธ'
759 - '๐ฃ๐ป'
760 - '๐ฃ๐ปโโ๏ธ'
761 - '๐๐ปโโ๏ธ'
762 - '๐๐ป'
763 - '๐๐ปโโ๏ธ'
764 - 'โน๐ปโโ๏ธ'
765 - 'โน๐ป'
766 - 'โน๐ปโโ๏ธ'
767 - '๐๐ปโโ๏ธ'
768 - '๐๐ป'
769 - '๐๐ปโโ๏ธ'
770 - '๐ด๐ปโโ๏ธ'
771 - '๐ด๐ป'
772 - '๐ด๐ปโโ๏ธ'
773 - '๐ต๐ปโโ๏ธ'
774 - '๐ต๐ป'
775 - '๐ต๐ปโโ๏ธ'
776 - '๐คธ๐ปโโ๏ธ'
777 - '๐คธ๐ป'
778 - '๐คธ๐ปโโ๏ธ'
779 - '๐คฝ๐ปโโ๏ธ'
780 - '๐คฝ๐ป'
781 - '๐คฝ๐ปโโ๏ธ'
782 - '๐คพ๐ปโโ๏ธ'
783 - '๐คพ๐ป'
784 - '๐คพ๐ปโโ๏ธ'
785 - '๐คน๐ปโโ๏ธ'
786 - '๐คน๐ป'
787 - '๐คน๐ปโโ๏ธ'
788 - '๐ง๐ปโโ๏ธ'
789 - '๐ง๐ป'
790 - '๐ง๐ปโโ๏ธ'
791 - '๐๐ป'
792 - '๐๐ป'
793 - '๐๐ผ'
794 - '๐ค๐ผ'
795 - '๐๐ผ'
796 - 'โ๐ผ'
797 - '๐๐ผ'
798 - '๐๐ผ'
799 - '๐ค๐ผ'
800 - '๐ค๐ผ'
801 - 'โ๐ผ'
802 - '๐ค๐ผ'
803 - '๐ซฐ๐ผ'
804 - '๐ค๐ผ'
805 - '๐ค๐ผ'
806 - '๐ค๐ผ'
807 - '๐ซต๐ผ'
808 - '๐ซฑ๐ผ'
809 - '๐ซฒ๐ผ'
810 - '๐ซณ๐ผ'
811 - '๐ซด๐ผ'
812 - '๐๐ผ'
813 - '๐๐ผ'
814 - '๐๐ผ'
815 - '๐๐ผ'
816 - '๐๐ผ'
817 - 'โ๐ผ'
818 - '๐๐ผ'
819 - '๐๐ผ'
820 - 'โ๐ผ'
821 - '๐๐ผ'
822 - '๐ค๐ผ'
823 - '๐ค๐ผ'
824 - '๐๐ผ'
825 - '๐ซถ๐ผ'
826 - '๐๐ผ'
827 - '๐๐ผ'
828 - '๐คฒ๐ผ'
829 - '๐๐ผ'
830 - 'โ๐ผ'
831 - '๐ช๐ผ'
832 - '๐ฆต๐ผ'
833 - '๐ฆถ๐ผ'
834 - '๐๐ผ'
835 - '๐ฆป๐ผ'
836 - '๐๐ผ'
837 - '๐ถ๐ผ'
838 - '๐ง๐ผ'
839 - '๐ง๐ผ'
840 - '๐ฆ๐ผ'
841 - '๐ฉ๐ผ'
842 - '๐ง๐ผ'
843 - '๐จ๐ผ'
844 - '๐ฉ๐ผโ๐ฆฑ'
845 - '๐ง๐ผโ๐ฆฑ'
846 - '๐จ๐ผโ๐ฆฑ'
847 - '๐ฉ๐ผโ๐ฆฐ'
848 - '๐ง๐ผโ๐ฆฐ'
849 - '๐จ๐ผโ๐ฆฐ'
850 - '๐ฑ๐ผโโ๏ธ'
851 - '๐ฑ๐ผ'
852 - '๐ฑ๐ผโโ๏ธ'
853 - '๐ฉ๐ผโ๐ฆณ'
854 - '๐ง๐ผโ๐ฆณ'
855 - '๐จ๐ผโ๐ฆณ'
856 - '๐ฉ๐ผโ๐ฆฒ'
857 - '๐ง๐ผโ๐ฆฒ'
858 - '๐จ๐ผโ๐ฆฒ'
859 - '๐ง๐ผโโ๏ธ'
860 - '๐ง๐ผ'
861 - '๐ง๐ผโโ๏ธ'
862 - '๐ต๐ผ'
863 - '๐ง๐ผ'
864 - '๐ด๐ผ'
865 - '๐ฒ๐ผ'
866 - '๐ณ๐ผโโ๏ธ'
867 - '๐ณ๐ผ'
868 - '๐ณ๐ผโโ๏ธ'
869 - '๐ง๐ผ'
870 - '๐ฎ๐ผโโ๏ธ'
871 - '๐ฎ๐ผ'
872 - '๐ฎ๐ผโโ๏ธ'
873 - '๐ท๐ผโโ๏ธ'
874 - '๐ท๐ผ'
875 - '๐ท๐ผโโ๏ธ'
876 - '๐๐ผโโ๏ธ'
877 - '๐๐ผ'
878 - '๐๐ผโโ๏ธ'
879 - '๐ต๐ผโโ๏ธ'
880 - '๐ต๐ผ'
881 - '๐ต๐ผโโ๏ธ'
882 - '๐ฉ๐ผโโ๏ธ'
883 - '๐ง๐ผโโ๏ธ'
884 - '๐จ๐ผโโ๏ธ'
885 - '๐ฉ๐ผโ๐พ'
886 - '๐ง๐ผโ๐พ'
887 - '๐จ๐ผโ๐พ'
888 - '๐ฉ๐ผโ๐ณ'
889 - '๐ง๐ผโ๐ณ'
890 - '๐จ๐ผโ๐ณ'
891 - '๐ฉ๐ผโ๐'
892 - '๐ง๐ผโ๐'
893 - '๐จ๐ผโ๐'
894 - '๐ฉ๐ผโ๐ค'
895 - '๐ง๐ผโ๐ค'
896 - '๐จ๐ผโ๐ค'
897 - '๐ฉ๐ผโ๐ซ'
898 - '๐ง๐ผโ๐ซ'
899 - '๐จ๐ผโ๐ซ'
900 - '๐ฉ๐ผโ๐ญ'
901 - '๐ง๐ผโ๐ญ'
902 - '๐จ๐ผโ๐ญ'
903 - '๐ฉ๐ผโ๐ป'
904 - '๐ง๐ผโ๐ป'
905 - '๐จ๐ผโ๐ป'
906 - '๐ฉ๐ผโ๐ผ'
907 - '๐ง๐ผโ๐ผ'
908 - '๐จ๐ผโ๐ผ'
909 - '๐ฉ๐ผโ๐ง'
910 - '๐ง๐ผโ๐ง'
911 - '๐จ๐ผโ๐ง'
912 - '๐ฉ๐ผโ๐ฌ'
913 - '๐ง๐ผโ๐ฌ'
914 - '๐จ๐ผโ๐ฌ'
915 - '๐ฉ๐ผโ๐จ'
916 - '๐ง๐ผโ๐จ'
917 - '๐จ๐ผโ๐จ'
918 - '๐ฉ๐ผโ๐'
919 - '๐ง๐ผโ๐'
920 - '๐จ๐ผโ๐'
921 - '๐ฉ๐ผโโ๏ธ'
922 - '๐ง๐ผโโ๏ธ'
923 - '๐จ๐ผโโ๏ธ'
924 - '๐ฉ๐ผโ๐'
925 - '๐ง๐ผโ๐'
926 - '๐จ๐ผโ๐'
927 - '๐ฉ๐ผโโ๏ธ'
928 - '๐ง๐ผโโ๏ธ'
929 - '๐จ๐ผโโ๏ธ'
930 - '๐ฐ๐ผโโ๏ธ'
931 - '๐ฐ๐ผ'
932 - '๐ฐ๐ผโโ๏ธ'
933 - '๐คต๐ผโโ๏ธ'
934 - '๐คต๐ผ'
935 - '๐คต๐ผโโ๏ธ'
936 - '๐ธ๐ผ'
937 - '๐ซ
๐ผ'
938 - '๐คด๐ผ'
939 - '๐ฅท๐ผ'
940 - '๐ฆธ๐ผโโ๏ธ'
941 - '๐ฆธ๐ผ'
942 - '๐ฆธ๐ผโโ๏ธ'
943 - '๐ฆน๐ผโโ๏ธ'
944 - '๐ฆน๐ผ'
945 - '๐ฆน๐ผโโ๏ธ'
946 - '๐คถ๐ผ'
947 - '๐ง๐ผโ๐'
948 - '๐
๐ผ'
949 - '๐ง๐ผโโ๏ธ'
950 - '๐ง๐ผ'
951 - '๐ง๐ผโโ๏ธ'
952 - '๐ง๐ผโโ๏ธ'
953 - '๐ง๐ผ'
954 - '๐ง๐ผโโ๏ธ'
955 - '๐ง๐ผโโ๏ธ'
956 - '๐ง๐ผ'
957 - '๐ง๐ผโโ๏ธ'
958 - '๐ง๐ผโโ๏ธ'
959 - '๐ง๐ผ'
960 - '๐ง๐ผโโ๏ธ'
961 - '๐ง๐ผโโ๏ธ'
962 - '๐ง๐ผ'
963 - '๐ง๐ผโโ๏ธ'
964 - '๐ผ๐ผ'
965 - '๐คฐ๐ผ'
966 - '๐ซ๐ผ'
967 - '๐ซ๐ผ'
968 - '๐คฑ๐ผ'
969 - '๐ฉ๐ผโ๐ผ'
970 - '๐ง๐ผโ๐ผ'
971 - '๐จ๐ผโ๐ผ'
972 - '๐๐ผโโ๏ธ'
973 - '๐๐ผ'
974 - '๐๐ผโโ๏ธ'
975 - '๐๐ผโโ๏ธ'
976 - '๐๐ผ'
977 - '๐๐ผโโ๏ธ'
978 - '๐
๐ผโโ๏ธ'
979 - '๐
๐ผ'
980 - '๐
๐ผโโ๏ธ'
981 - '๐๐ผโโ๏ธ'
982 - '๐๐ผ'
983 - '๐๐ผโโ๏ธ'
984 - '๐๐ผโโ๏ธ'
985 - '๐๐ผ'
986 - '๐๐ผโโ๏ธ'
987 - '๐ง๐ผโโ๏ธ'
988 - '๐ง๐ผ'
989 - '๐ง๐ผโโ๏ธ'
990 - '๐คฆ๐ผโโ๏ธ'
991 - '๐คฆ๐ผ'
992 - '๐คฆ๐ผโโ๏ธ'
993 - '๐คท๐ผโโ๏ธ'
994 condition: selection
995falsepositives:
996 - Unknown
997level: high
References
Related rules
- Diamond Sleet APT DLL Sideloading Indicators
- Diamond Sleet APT Scheduled Task Creation - Registry
- Enable Remote Connection Between Anonymous Computer - AllowAnonymousCallback
- HackTool - CoercedPotato Named Pipe Creation
- Injected Browser Process Spawning Rundll32 - GuLoader Activity